I have identified an XSS security vulnerability affecting PluXml 5.8.22. I sent two emails with the full PoC and details, but haven't received a response yet.

To adhere to responsible disclosure practices, I am not sharing the vulnerability details publicly here. Could a core maintainer please reach out via Private Message (PM) or provide a direct email address to proceed?

Best regards,
@bazooka07

En insérant dans header.php :
<?php $plxShow->catList('','<li><a href="#cat_url" title="#cat_name">#cat_name</a></li>',8); ?>
je retrouve tous les articles de la catégorie 8, avec le chapô et d'autres informations.
Je souhaite n'afficher que le titre. J'ai testé :
<?php $plxShow->lastArtList('<li><a href="#art_url" class="#art_status" title="#art_title">#art_title</a></li>', $catItem, '8'); ?>
Les titres s'affichent bien, mais en ligne horizontale.
Merci de m'indiquer ce qu'il faut ajouter pour les mettre en colonne.

Cordialement
Paul

Cordialement
Paul

I am a security researcher and have discovered a stored XSS vulnerability in this project. I have sent emails to the listed security contact containing a full write up with POC exploit but have not received a reply. Please check your spam folder. The reports will be from henrylevercyber@gmail.com

Aussi pour rester dans ma philosophie, j'ai modifié le fichier medias.js et je voulais vous partager ça.

const folderSelect = document.getElementById('folder'),
    validDirButton = document.querySelector('input[type=submit][name=btn_changefolder]');
    folderSelect.addEventListener('change', ()=>{
        /* validDirButton.dispatchEvent(new MouseEvent('click', {
            bubbles: true,
            cancelable: false,
            view: window
        })); */
        validDirButton.click();
    });

Ce bout de code, me permet de déclencher un click sur le bouton ok, au changement de répertoire de la liste déroulante, ainsi le contenu de ce dernier nous est directement afficher. Plus besoins de martyriser le bouton OK.

Version PluXml 5.8.22 : thème défaut
version plugin Categories mére et filles - Version 3.5.8.10 (21/12/2022) Auteur : GC-Nomade
Version PHP 8.0.30

et je ne sais pas comment y remédier.
Merci d'avance pour votre aide

Ce plugin est passé en Version 3.0.5 (30/03/2024) compatible 5.9.0-rc7

Lien Github https://github.com/gcyrillus/mySubStatic
zip sur pluxopolis https://ressources.pluxopolis.net/banque-plugins/plugins/mySubStatic-3.0.5.zip

Description

• La page d'administration des "Pages Statiques" est affublée d'une colonne supplémentaire pour attacher un groupe comme sous-groupe d'un autre via son numéro d'identifiant

NOTE: la page test attachée à l'identifiant 001 ne sera pas visible dans le menu, car la statique n°001 n'est pas reliée à un groupe de premier niveau. Elle reste accessible via son URL, elle apparait dans le sitemap et peut-etre inclus via staticInclude()

• Un wizard s'affiche à l'activation du plugin _{(ou à la demande)} pour vous aider à comprendre son fonctionnement et faire une première configuration.
• Le plugin reprend par défaut la structure et les class du thème par défaut. Les options de configuration sont celles de la fonction staticList() ^{variables: $format, $format_group} et sont modifiables dans l'administration du plugin. Doc de la fonction native: https://wiki.pluxml.org/docs/develop/plxshow.html#staticlist
• Configuration avancée ^{pour les experts ou développeur de thèmes}: Le plugin réécrit le menu juste avant l'affichage de la page, il est encore possible de le modifier et d'y injecter, par exemple de nouvelle class. Ces modifications peuvent être faites à l'aide d'expressions régulières ^regex. Le plugin en utilise 3 en exemples. Vous pouvez les modifier et en ajouter. Un bouton permet de réinitialiser aux valeurs par défaut.
  

Le plugin propose deux options d'affichage

• affiché un fil d'Ariane ex:
  

• et une barre de navigation entre statiques de même niveau
  

Ces deux options sont indépendantes.

Allez à la fin de ce fil pour participer ou lire lles derniers échanges. https://forum.pluxml.org/discussion/7506/plugin-mysubstatic#latest

Est-ce que ça active (que) l'affichage des ereurs et divers avertissements php ?
mais ce n'est pas enregistré dans un fichier ? je n'ai pas trouvé où... en tout cas

Les fichiers .css et .js ne sont pas remplacés par les "originaux" non minifiés ?

PS: apparemment c'est à activer dans le fichier core/lib/config.php
pas vu d'option dans l'administration? mais c'est peut-être possible en utilisant le fichiers des parametres data/configuration/parametres.xml non ?

<?php
class CustomFields extends plxPlugin {

    // Déclaration des hooks
    public function __construct($defaultLang) {
        parent::__construct($defaultLang);

        // Définir les profils autorisés à utiliser ce plugin
        $this->setConfigProfil(PROFIL_ADMIN, PROFIL_MANAGER, PROFIL_EDITOR);

        // Ajouter des hooks pour l'éditeur d'article
        $this->addHook('AdminArticleEdit', 'AdminArticleEdit');
        $this->addHook('AdminArticleNew', 'AdminArticleNew');
        $this->addHook('AdminHeadEnd', 'AdminHeadEnd'); // Hook pour charger le CSS
    }

    // Méthode pour charger le CSS dans l'admin
    public function AdminHeadEnd() {
        echo '<link rel="stylesheet" type="text/css" href="' . PLX_PLUGINS . 'customfields/css/admin.css" />';
    }

    // Fonction pour afficher les champs personnalisés dans l'éditeur
    public function AdminArticleEdit() {
        $this->displayCustomFields();
    }

    public function AdminArticleNew() {
        $this->displayCustomFields();
    }

    // Fonction pour afficher les champs
    private function displayCustomFields() {
        $plxAdmin = plxAdmin::getInstance();
        $article = $plxAdmin->aArt;

        // Début de la section des champs personnalisés
        echo '<div class="fieldset" id="customfields-section">';
        echo '<h3>Champs personnalisés</h3>';

        // Champ Prix
        echo '<div class="field">';
        echo '<label for="prix">Prix (€)</label>';
        echo '<input type="text" name="prix" id="prix" value="' . (isset($article['prix']) ? htmlspecialchars($article['prix']) : '') . '" size="10" />';
        echo '<p class="help">Prix du produit en euros (ex: 29.99)</p>';
        echo '</div>';

        // Champ Images supplémentaires
.....

  // Fin de la section
        echo '</div>';
    }
}
?>

Je viens de passer mon site en PHP 8.5, mais j'obtiens :

Fatal error :
type : 8192 E_DEPRECATED - See https://www.php.net/manual/fr/errorfunc.constants.php#constant.e-deprecated
message : Function xml_parser_free() is deprecated since 8.5, as it has no effect since PHP 8.0
file : /core/lib/class.plx.motor.php
line : 748

Dans mes informations j'ai :

PluXml version 5.8.22 (encodage UTF-8)

Version de PHP : 8.5.6
Apache/2.4.67 (Debian)

C'est à https://papillonembarrasse.ouvaton.org , je le laisse quelque temps, que vous puissiez voir, si ça vous intéresse... Sinon je reviendrai en 8.4 ?

Merci pour votre aide.

Ou une autre solution ?
Merci d'avance

• ou une autre solution ?
  merci d'avance

This would look stylish and modern. Because no one registers on the blog, people just write to each other in the comments below the article.

J'ai cru avoir oublié le mot de passe, mais la sollicitation de la fonction "mot de passe oublié" où je renseigne mon adresse mail, aboutit toujours à une page d'erreur, "erreur inconnue" en rouge au dessus des case à remplir.

Comment faire pour retrouver accès et faire mes mises à jours ?

Je viens de faire une mise à jour de mon site https://papillonembarrasse.ouvaton.org vers la 5.8.22 (depuis la 5.8.19 je crois), tout s'est bien passé sauf que la première fois que je me connecte à l'administration, un panneau d'alerte brutal m'annonce

An error is occured with the "TINYMCE" plugin :
version: 2.3.0 - date: 21/04/2020 - author: Jean-Pierre Pourrez
type : 8192 E_DEPRECATED - See https://www.php.net/manual/fr/errorfunc.constants.php#constant.e-deprecated
message : Creation of dynamic property tinyMCE::$plx_theme is deprecated
file : tinyMCE/tinyMCE.php
line : 111

Je vous joins la capture d'écran.

Que se passe-t-il et que dois-je faire ?

Merci pour votre aide.

Pour un projet "en cours" j'ai ajouté à certains articles 2 ou 3 tags du style photo (à ajouter...) texte (à finir..) etc mais évidemment aucun intérêt pour les visiteurs

merci de votre aide
José